Generatore di Password

Ogni carattere viene scelto usando crypto.getRandomValues() del browser, la stessa fonte casuale criptograficamente sicura usata per cose come le chiavi di crittografia, non il molto più debole Math.random(), che in alcuni motori è prevedibile abbastanza da poter essere ricostruito a partire da output passati. La selezione dei caratteri usa anche il campionamento per rigetto invece di un semplice modulo, così ogni carattere consentito ha esattamente la stessa probabilità, senza alcuna distorsione verso l'inizio del set di caratteri.

L'entropia in bit è il log2 della dimensione del set di caratteri moltiplicato per la lunghezza della password; misura quanti tentativi, in media, servirebbero a un attaccante che conosce le tue impostazioni (ma non la password stessa) per trovarla per forza bruta. Ogni bit aggiuntivo raddoppia questo numero di tentativi, quindi passare da 40 a 60 bit non è un miglioramento del 50%, è circa un milione di volte più difficile.

Questi caratteri sembrano quasi identici in molti font, il che conta se devi mai leggere la password ad alta voce, ricopiarla da una copia stampata o digitarla su un dispositivo senza un font affidabile. Escluderli riduce leggermente il set di caratteri (e quindi riduce leggermente l'entropia per la stessa lunghezza), un piccolo compromesso solitamente utile per le password che non copierai e incollerai sempre.

Alcuni moduli di accesso rifiutano le password che non mescolano tipi di caratteri diversi, anche quando la lunghezza complessiva e la casualità sono forti. Con questa opzione attiva, il generatore garantisce almeno un carattere di ogni tipo selezionato prima di riempire casualmente il resto, poi mescola l'intero risultato in modo che i caratteri garantiti non siano posizionati in modo prevedibile all'inizio.

Sì, ogni password in un lotto viene generata in modo indipendente con i propri byte casuali, quindi conoscere una password del lotto non fornisce alcuna informazione sulle altre. Usare una password diversa, generata indipendentemente, per ogni account (invece di variazioni di un'unica password) è esattamente ciò che ti protegge se un sito che usi viene violato.

No, la generazione avviene interamente nel tuo browser con JavaScript, non viene inviato nulla a un server, e la pagina non conserva una cronologia dei valori passati oltre a un riepilogo del numero di caratteri memorizzato localmente (mai la password stessa) per il pannello della cronologia su questa pagina.